Zimbra : une faille dans vos emails deja exploitee par des pir...

Zimbra, le service de messagerie que vous utilisez peut-etre sans le savoir

Zimbra est un service de messagerie et de collaboration utilise par des centaines de millions de personnes dans le monde. Beaucoup d'entreprises, d'universites et d'administrations l'utilisent comme alternative a Outlook ou Gmail. Si votre employeur ou votre universite vous fournit une adresse email professionnelle, il y a une chance non negligeable qu'elle tourne sur Zimbra.

Le 18 mars 2026, l'agence americaine de cybersecurite CISA (l'equivalent d'un garde du corps numerique pour les institutions gouvernementales) a sonne l'alerte : une faille de securite dans Zimbra est activement exploitee par des pirates.

Qu'est-ce qui se passe exactement

La faille, identifiee sous le code CVE-2025-66376, est ce qu'on appelle une attaque XSS stockee. Pour simplifier, imaginez qu'un pirate puisse glisser un petit programme invisible dans un email. Quand vous ouvrez cet email dans l'interface web de Zimbra, ce programme s'execute silencieusement dans votre navigateur.

Ce petit programme pirate peut alors faire tout ce que vous pourriez faire dans votre boite mail : lire vos messages, en envoyer en votre nom, rediriger vos emails vers une adresse controlee par le pirate, ou encore voler votre session pour rester connecte a votre place.

Le plus vicieux, c'est que l'attaque passe par un simple email au format HTML (le format standard des emails modernes avec de la mise en page). Le pirate utilise une fonctionnalite CSS, normalement prevue pour la mise en forme, comme vehicule pour son code malveillant.

Pourquoi c'est serieux

La CISA n'ajoute pas n'importe quelle faille a sa liste d'alertes. Si elle a pris cette decision, c'est parce que des attaques reelles ont ete observees. Les agences gouvernementales americaines ont jusqu'au 1er avril 2026 pour appliquer le correctif.

Zimbra a deja ete la cible de campagnes de piratage massives par le passe. En 2022, plus de 1 000 serveurs avaient ete compromis. Des groupes de hackers russes (Winter Vivern) avaient aussi exploite des failles similaires pour espionner des emails de gouvernements allies de l'OTAN.

Comment se proteger

Si vous etes administrateur d'un serveur Zimbra, le correctif existe depuis novembre 2025 avec les versions 10.1.13 et 10.0.18. Il faut l'appliquer de toute urgence si ce n'est pas deja fait.

Si vous etes simplement utilisateur d'une messagerie Zimbra, vous ne pouvez pas appliquer le correctif vous-meme, mais vous pouvez prendre quelques precautions : evitez d'ouvrir des emails suspects, surtout ceux avec une mise en page inhabituelle, et signalez tout comportement etrange de votre boite mail a votre service informatique.

La CISA recommande a toutes les organisations, publiques comme privees, de traiter cette mise a jour comme prioritaire. Ce n'est pas tous les jours qu'une agence gouvernementale donne un ultimatum de deux semaines pour corriger une faille, signe que la menace est bien reelle.